php+iptables

[Linux-Master]

hallo,

ich habe folgendes problem, ich will mit einer php seite iptabels eintragen lassen, nun besteht aber das problem, dass ich die fehlermeldung bekomme, dass der apache keine root rechte hat, wenn man aber dem apache als root in der httpd.conf eintraägt, so erhält man einen fehler, nun würde ich wohl gerne wissen, ob man das in php machen kann, das der iptables einträgt oder ob sowas mit cgi gemacht werden muss.

cu

Linux-Master

-------
Suse Linux 8.0

[MrIch]

vielleicht wäre es sinnvoller mit php alle regeln in ne Datei einzutragen und ein kleines programm guckt ob sich die Datei ändert und dann die Regeln ausführt, das wäre für dich Sicherheit auch besser.

[joey.brunner]

ich finde den vorschlag von linux-master auch besser, sie ist einfach zu realisieren.

php-dateien (hier stehen die regeln)

dann macht dein skript einen diff

diff iptables php-dateien
wenn dort etwas zurückgegebn wird, dann wird php-dateien zu iptables ... so einfach

wenn dir das nicht passt, dann mach einen einen su über php

joey

[MrIch]

@joey.brunner irgendwie verstehe ich deinen ersten Satz nicht, aber ist ja auch egal...

[joey.brunner]

mich verstehen viele nicht ;)

[MrIch]

mich wundert die Aussage: "ich finde den vorschlag von linux-master auch besser, sie ist einfach zu realisieren. "

wieso auch? Hat hier jemand noch den Vorschlag für gut erklärt?

[joey.brunner]

nein, aber ich denke, dass auch er ihn gefunden wird und schon finden ihn zwei leute gut ;)

joey

[Harry]

Original geschrieben von joey.brunner
nein, aber ich denke, dass auch er ihn gefunden wird und schon finden ihn zwei leute gut ;)

Den obigen Satz hab ich auch nicht verstanden; ebensowenig diesen hier :D
@joey: Schlaf' Dich mal aus :)

Die Idee mit dem cron-Job von MrIch ist absolut ok. Man könnte sich überlegen, das ganze über sudo zu machen, indem man dem Apache-User (wwwrun?) die Rechte einräumt, das iptables-Kommando auszuführen.

Funktionieren sollte beides und vom Standpunkt der Sicherheit her könnte beides beliebig unsicher sein, sobald der Apache exploitable ist bzw. solange die PHP-Skripte nicht wasserdicht geschrieben sind :D

Harry

[Linux-Master]

hallo,

das mit dem cronjob ist ok, aber wie kann man dem user (wwwrun) denn die rechte für die iptables geben?


grüße

[Jinto]

Hat Harry bereits erwähnt:
sudo siehe dazu auch in der manpage.

Andere Alternative wäre suid root (*duck´n renn*)

[Harry]

Original geschrieben von Jinto
Andere Alternative wäre suid root (*duck´n renn*)
*rotfl* :D

Harry